Rekord SPF

Rekord SPF to parametr monitoringu stron internetowych, który sprawdza, czy domena obsługująca pocztę publikuje w DNS rekord SPF, czyli deklarację, które serwery mogą wysyłać pocztę w jej imieniu. Pomiar dotyczy domen z rekordem MX i kończy się jednym z trzech wyników: rekord jest, rekordu nie ma albo DNS nie dał rozstrzygającej odpowiedzi. SPF pozwala właścicielowi domeny wskazać hosty uprawnione do używania jej nazwy w sesji SMTP, a serwerowi odbiorcy — sprawdzić to uprawnienie ^[1].

Jak działa

Rekord SPF musi być opublikowany jako rekord DNS typu TXT i zaczyna się od oznaczenia wersji v=spf1 ^[1]. Serwer odbiorcy sprawdza tożsamość z polecenia MAIL FROM, jeśli sprawdzenie nazwy z HELO nie zostało wykonane albo nie dało rozstrzygnięcia; norma zaleca sprawdzać obie ^[1].

Rekord składa się z mechanizmów i modyfikatorów. Mechanizmy podstawowe to all i include, a mechanizmy wskazujące nadawców to a, mx, ptr, ip4, ip6 i exists; modyfikatory to redirect i exp ^[1]. Mechanizmu ptr nie należy publikować, bo po latach wdrożeń uznano go za zbędny i zawodny ^[1]. Każdy mechanizm może mieć kwalifikator: + daje wynik pass, - fail, ~ softfail, a ? neutral; brak kwalifikatora oznacza + ^[1]. Odbiorca przechodzi mechanizmy od lewej do prawej i kończy przy pierwszym dopasowaniu ^[3].

RYS. 1.1Sprawdzenie SPF przy odbiorze

Ewaluacja kończy się jednym z siedmiu wyników. Wynik none oznacza, że nie pobrano żadnego rekordu SPF; neutral — że domena świadomie nie przesądza o uprawnieniu; pass — że klient jest uprawniony; fail — że nie jest; softfail — że prawdopodobnie nie jest ^[1]. Temperror to przejściowy, zwykle DNS-owy błąd weryfikatora, a permerror — rekord, którego nie da się poprawnie zinterpretować ^[1]. Gdy domena ma więcej niż jeden rekord SPF, wynik to permerror ^[1].

Mechanizmy wymagające zapytań DNS podlegają limitowi: implementacja musi ograniczyć ich liczbę do 10 i po przekroczeniu zwrócić permerror ^[1]. Do limitu liczą się include, a, mx, exists i redirect, a zagnieżdżone include dodają kolejne zapytania; ip4, ip6 i all się nie liczą ^[3]. Osobno norma zaleca ograniczyć do dwóch zapytania puste (ang. void lookups), czyli takie, które nie zwracają rekordu ^[1].

RYS. 1.2Ewaluacja rekordu SPF

Standardy i specyfikacje

• RFC 7208 (kwiecień 2014, zastępuje RFC 4408) definiuje SPF: składnię rekordu, mechanizmy, kwalifikatory, wyniki i limity zapytań ^[1].
• RFC 7489 opisuje DMARC. SPF uwierzytelnia domenę z MAIL FROM albo HELO, czyli adresy z warstwy SMTP, a DMARC dotyczy pola From, które klienci poczty pokazują użytkownikowi ^[2].
• RFC 7505 wprowadza pusty rekord MX dla domen, które nie przyjmują poczty, i przypomina, że domeny niewysyłające poczty mogą opublikować politykę SPF -all ^[7].
• Google od 1 lutego 2024 r. wymaga od wszystkich nadawców do kont Gmail SPF lub DKIM, a od wysyłających ponad 5000 wiadomości dziennie — SPF, DKIM i DMARC oraz zgodności domeny z pola From z domeną SPF albo DKIM ^[4].
• Yahoo od lutego 2024 r. wymaga od wszystkich nadawców co najmniej SPF lub DKIM, a od nadawców masowych obu mechanizmów i polityki DMARC co najmniej p=none ^[5].
• Ustawa o zwalczaniu nadużyć w komunikacji elektronicznej wymusza na dostawcach poczty dla co najmniej 500 000 użytkowników albo dla podmiotu publicznego stosowanie SPF, DMARC i DKIM ^[8].

Zagrożenia i skutki

Podszywanie się pod domenę. Protokół SMTP powstał, gdy kluczowe były stabilność i prostota, a o bezpieczeństwie informacji mało kto myślał ^[6]. Bez rekordu SPF wynik sprawdzenia to none ^[1]: odbiorca nie ma od właściciela domeny żadnej deklaracji, z którą mógłby porównać adres serwera nadawcy.

SPF nie chroni widocznego nadawcy. SPF samodzielnie nie sprawdza pola From wyświetlanego w programach pocztowych, a jedynie adres z koperty SMTP, więc nie chroni przed podszyciem się pod wyświetlany adres ^[6]. Tę lukę zamyka dopiero DMARC, wymagający wyrównania domeny From z domeną uwierzytelnioną ^[2].

Miękka polityka. Softfail jest słabym stwierdzeniem, że host prawdopodobnie nie jest uprawniony ^[1], choć wiele serwerów traktuje -all i ~all tak samo ^[6]. Według dokumentacji Microsoft polityka DMARC jest w praktyce pomijana dla porażek SPF z ~all, gdy wiadomość nie ma podpisu DKIM; wartość ?all służy do testów ^[3].

Błędy konfiguracji. Drugi rekord SPF, przekroczony limit zapytań albo include wskazujący domenę bez rekordu SPF dają permerror, a wiadomość może zostać odrzucona ^[3]. Rekord domeny nie obejmuje subdomen — każda wysyłająca subdomena potrzebuje własnego ^[3].

Doręczalność. Poczta niespełniająca wymagań Google może nie zostać doręczona albo trafić do spamu ^[4], a Yahoo zapowiada negatywny wpływ na doręczanie do swoich domen ^[5].

Przykłady

Rekord w DNS	Wynik dla serwera spoza listy	Uwagi
brak rekordu v=spf1	none [1]	odbiorca nie ma deklaracji domeny
v=spf1 include:… -all	fail [1]	odrzucenie w sesji SMTP kodem 550 [1]
v=spf1 include:… ~all	softfail [1]	często traktowany jak fail [6]
v=spf1 include:… ?all	neutral [1]	wartość do testów [3]
v=spf1 +all	pass dla każdego [1]	rekord jest, ale nic nie ogranicza
dwa rekordy v=spf1	permerror [1]	jeden rekord na domenę [3]
ponad 10 zapytań DNS	permerror [1]	zagnieżdżone include [3]
v=spf1 -all w domenie bez poczty	fail dla każdego [3]	domena nie wysyła poczty [7]